Un fichier client envoyé au mauvais destinataire, un ordinateur portable volé ou un rançongiciel peuvent exposer des données personnelles. Même sans piratage spectaculaire, l’incident peut déclencher des obligations prévues par le RGPD.
Le délai de 72 heures commence lorsque le responsable du traitement a connaissance de la violation, et non lorsque l’enquête est terminée. Pour réagir sans improviser, il faut d’abord qualifier les faits, contenir l’incident et évaluer les risques.
À retenir : notification et délai de 72 heures
- Qualification rapide de l’incident et des données touchées
- Notification à la CNIL si un risque existe
- Information des personnes concernées en cas de risque élevé
- Documentation de l’incident, même sans notification
Reconnaître une violation de données au sens du RGPD
Une fois l’alerte reçue, la première tâche consiste à déterminer si l’événement touche réellement des données personnelles. Le RGPD définit une violation de données comme un incident de sécurité entraînant une destruction, une perte, une altération, une divulgation ou un accès non autorisé.
L’origine ne change pas cette qualification : erreur humaine, acte malveillant ou panne peuvent produire le même effet. Une liste de clients jointe au mauvais courriel, un dossier papier égaré ou des données rendues inaccessibles par un rançongiciel méritent donc une analyse.
Confidentialité, intégrité et disponibilité
Pour préciser la nature de l’incident, examinez si les données ont été vues par une personne non autorisée, modifiées ou rendues indisponibles. Une exposition interne compte aussi lorsqu’un salarié consulte des informations auxquelles ses fonctions ne donnent pas accès.
Selon le RGPD, la définition couvre ces différentes atteintes à la sécurité des données personnelles. Par exemple, une clinique dont le serveur est bloqué doit examiner les conséquences de l’indisponibilité, même si aucune extraction n’est encore établie.
Les catégories suivantes aident à structurer la qualification avant l’évaluation des risques :
| Type d’atteinte | Ce qui se passe | Exemple |
|---|---|---|
| Confidentialité | Divulgation ou accès sans autorisation | Courriel transmis au mauvais destinataire |
| Intégrité | Modification non autorisée | Dossier client altéré par un accès frauduleux |
| Disponibilité | Perte ou indisponibilité des données | Serveur bloqué par un rançongiciel |
| Atteinte combinée | Plusieurs effets touchent les mêmes données | Vol d’un ordinateur contenant des fichiers accessibles |
Agir dans le délai de 72 heures après l’alerte
Après qualification initiale, l’organisation doit contenir l’incident tout en lançant l’analyse réglementaire. Le compte à rebours débute lorsque le responsable du traitement possède une certitude raisonnable qu’un incident a compromis des données personnelles.
Selon le Comité européen de la protection des données, une vérification initiale brève peut être nécessaire, mais une enquête approfondie ne doit pas retarder la notification. Les 72 heures sont calendaires : les week-ends et jours fériés ne suspendent pas le délai.
Contenir et établir les faits
Dans les premières heures, isolez les systèmes concernés, révoquez les accès compromis et préservez les journaux techniques. Ces mesures limitent les dégâts et permettent de reconstituer le périmètre sans détruire les éléments utiles à l’enquête.
Une petite entreprise peut, par exemple, bloquer temporairement un compte partagé, réinitialiser les mots de passe touchés et demander au destinataire d’un courriel erroné de supprimer la pièce jointe. Chaque action doit être datée et consignée.
Les premières actions opérationnelles peuvent être organisées ainsi :
- Isoler les appareils ou comptes compromis
- Préserver les journaux et éléments de preuve
- Identifier les données et populations concernées
- Alerter le DPO, la direction et l’équipe technique
Notifier sans attendre une enquête complète
Si les informations restent partielles à l’approche de l’échéance, une notification initiale peut être transmise à la CNIL, puis complétée sans retard indu. En cas de dépassement, le responsable doit expliquer les motifs du retard.
Selon la CNIL, la procédure de signalement passe par son téléservice dédié. Préparer une chronologie, les coordonnées du contact et les faits connus facilite la saisie, sans obliger l’organisation à prétendre que l’enquête est achevée.
Évaluer les risques et informer les personnes concernées
La notification à la CNIL dépend du risque pour les droits et libertés des personnes, tandis que l’information directe répond à un seuil plus élevé. Cette distinction évite de confondre deux obligations différentes du RGPD.
Selon l’article 33 du RGPD, la notification à la CNIL est requise lorsque la violation est susceptible d’engendrer un risque. L’article 34 prévoit l’information des personnes concernées lorsque ce risque est élevé, afin qu’elles puissent prendre des précautions adaptées.
Mesurer les conséquences possibles
L’évaluation des risques tient compte du type de données, de leur sensibilité, de la facilité d’identifier les personnes et des dommages envisageables. Des données de santé, des coordonnées bancaires ou des copies de pièces d’identité peuvent accroître les conséquences potentielles.
Le nombre de personnes touchées n’est pas le seul critère. Un dossier concernant un enfant ou une personne vulnérable peut appeler une vigilance particulière, même si l’incident concerne peu de personnes.
| Situation observée | Question d’analyse | Réponse à envisager |
|---|---|---|
| Données chiffrées | La clé est-elle restée protégée ? | Documenter l’analyse du risque |
| Coordonnées exposées | Un hameçonnage ciblé est-il plausible ? | Évaluer la notification à la CNIL |
| Données financières ou de santé | Un préjudice sérieux est-il possible ? | Examiner l’information directe |
| Envoi à un destinataire identifié | La suppression a-t-elle été confirmée ? | Conserver les preuves et réévaluer le risque |
Informer avec des consignes concrètes
Lorsque le risque est élevé, l’information doit être directe et rédigée en termes clairs. Elle expose la nature de l’incident, ses conséquences probables, les mesures prises et les gestes utiles, comme changer un mot de passe ou surveiller un compte.
La liste des personnes à informer doit couvrir toutes les populations dont les données ont été touchées, pas uniquement les clients. Des proches, contacts d’urgence ou représentants légaux peuvent également être concernés par une fuite.
Pour trancher, comparez les éléments essentiels de l’analyse :
- Sensibilité et quantité des données exposées
- Possibilité d’identifier les personnes concernées
- Préjudices financiers, privés ou réputationnels envisageables
- Mesures déjà prises pour réduire les conséquences
Documenter l’incident et répartir les responsabilités
Quelle que soit la décision de notifier, la documentation de l’incident est indispensable. L’article 33 du RGPD exige de consigner les faits, leurs effets et les mesures prises, y compris lorsque l’analyse conclut à l’absence de notification.
Ce registre interne permet de montrer comment l’organisation a qualifié l’événement et justifié ses choix. Il ne remplace pas le registre des activités de traitement : il suit les incidents et les décisions prises pour y répondre.
Tenir un registre exploitable
Une entrée utile retrace la date de détection, la nature de l’atteinte, les données touchées, les catégories de personnes et l’évaluation du risque. Elle précise également les mesures correctives et les communications adressées à la CNIL ou aux personnes.
Selon la CNIL, documenter les violations permet au responsable de traitement de rendre compte de sa décision. Une note vague comme « incident traité » ne suffit pas à comprendre pourquoi une notification a été écartée.
Pour éviter les oublis, chaque fiche d’incident devrait contenir :
- Chronologie des faits et date de prise de connaissance
- Catégories de données et personnes concernées
- Analyse du risque et décision motivée
- Mesures correctives, notifications et suivi prévu
Préparer la procédure de signalement
Le DPO coordonne souvent l’analyse et conseille la direction, mais la responsabilité réglementaire demeure celle du responsable du traitement. Une chaîne d’alerte connue à l’avance évite que l’incident reste bloqué entre équipes informatiques et décideurs.
Si un sous-traitant détecte une violation, il doit en informer le responsable dans les meilleurs délais. Les contrats devraient préciser le canal d’alerte et les informations à transmettre, afin de préserver le temps nécessaire à la notification.
Un exercice de crise permet de tester les contacts, les modèles de notification et l’accès au téléservice. Selon le RGPD, l’objectif n’est pas de notifier chaque incident automatiquement, mais de pouvoir justifier une décision rapide et documentée.
Source : Règlement (UE) 2016/679, articles 4, 33 et 34 ; CNIL, « Notifier une violation de données personnelles ».
Transformer l’analyse en décision
Les meilleures décisions reposent sur un cadre compréhensible, quelques critères vérifiables et une étape suivante clairement définie. Testez la méthode à petite échelle, mesurez le résultat puis ajustez avant de généraliser.
Votre checklist
- Définir le résultat attendu
- Identifier trois critères prioritaires
- Prévoir une mesure de contrôle
- Fixer une date de réévaluation
